CN104917618B - 基于层次身份基的认证密钥协商方法和系统 - Google Patents

Abstract

本发明公开了一种基于层次身份基的认证密钥协商方法，包括：根据输入的安全常数λ，得出椭圆曲线循环加法群，选取主私钥，并计算系统公钥,选取两个安全的哈希函数；根据主私钥、第一用户身份向量和随机选取的一组随机数计算第一用户的私钥和部分公钥；根据第二用户身份、第二用户的私钥、第二用户的部分公钥和一个随机数计算第一用户的私钥和部分公钥。本发明具有如下优点：适用于大型系统；不含椭圆曲线双线性对运算，效率高，计算开销与系统层级成线性关系；满足密钥协商的安全需求，具有已知会话密钥安全、完美前向安全、PKG前向安全、无密钥泄露模仿、未知密钥共享、无密钥控制等安全性质。

Description

基于层次身份基的认证密钥协商方法和系统

技术领域

本发明基于层次身份基密码体制，是一种高效的层次身份基认证密钥协商协议，属于信息安全领域。

背景技术

在传统的公钥基础设施(PKI,Public Key Infrastructure)中，需要证书来保证体系的安全性，本质上是用具有权威性、公正性的第三方可信任机构为用户签名。这种管理体制涉及到很多证书管理的问题：包括生成、签发、备份、撤销等，占用了大量系统相关资源。为了简化传统公钥基础设施对证书的管理过程，Shamir在1984年提出了一种身份基密码机制(IBC,Identity Based Cryptosystem)。该体制不使用任何证书，直接将用户的身份作为公钥，私钥由可信的私钥生成中心PKG(Public Key Generator)生成。不过，直到2001年，Boneh和Franklin才设计出第一个真正实用的基于Weil配对的身份基加密算法(IBE,Identity Based Encryption)。

然而在IBE体制中需要共享同一个PKG，这在大型系统中显然是不适用的。因为PKG不仅需要验证用户身份及为用户生成私钥，还要维护安全信道把私钥安全的发送给用户，同时PKG还要负责用户私钥的更新，撤销等工作，单一PKG将不能承担起大型系统繁重的工作。这成为身份基密码体制应用的瓶颈。2002年，密码学家Gentry和Silverberg在总结前人工作的基础上，第一次提出了层次身份基密码算法(HIBC,Hierarchical Identity BasedCryptography)。该体制中包含一个根PKG及多层的域PKG，根PKG对域PKG进行验证并为其生成私钥，上层域PKG验证下层域PKG并生成私钥，直至用户的上一层域。层次身份基密码算法的提出，有效的解决了身份基密码体制的应用瓶颈问题。

密钥协商协议在安全通信中有至关重要的作用，它允许两个实体在开放信道上协商安全的会话密钥，以保证双方通信的安全。基于身份基密码体制，学者们提出了大量的身份基认证密钥协商协议。然而，大多数身份基认证密钥协商协议都是在单一PKG环境下提出的。在实际应用中，身份基体制的瓶颈问题在该类协议中仍然存在，而且不同领域相对独立，不可能共享同一PKG。为了提高身份基密钥协商协议的适用范围，学者们基于层次身份基密码体制提出了层次身份基认证密钥协商协议。

现有的身份基密码体制多是基于椭圆曲线双线性对运算的，基于这类密码体制的密钥协商协议自然不能避免双线性对运算，而椭圆曲线上的双线性对运算耗时大约是点乘运算的20倍，因此效率较低。针对这一问题，有学者提出了无双线性对运算的身份基密钥协商协议，不过这类协议都是在单一PKG环境下提出的。

椭圆曲线密码(ECC,Elliptic curve cryptography)在身份基密码体制中运用最为广泛，其主要优势是在相同的安全水平下，与其他公钥密码体制相比，系统参数更短。在不使用双线性对运算的密钥协商协议中，协议的安全性一是基于椭圆曲线离散对数困难假设，即为椭圆曲线构成的q阶循环加法群，给定两个元素其中由P，a计算aP是容易的，但由P,aP计算a是困难的。二是基于计算性Diffie-Hellman困难假设，即为椭圆曲线构成的q阶循环加法群，给定三个元素其中计算abP是困难的。

发明内容

本发明旨在至少解决上述技术问题之一。

为此，本发明的第一个目的在于提出一种无双线性对运算的层次身份基认证密钥协商方法。该方法能够基于层次身份基密码体制，适用于大型系统，而且运算过程不含双线性对运算，因此具有更高的效率。安全性基于椭圆曲线离散对数困难假设及计算性Diffie-Hellman困难假设，满足密钥协商所需的基本安全需求。

本发明的第二个目的在于提出一种无双线性对运算的层次身份基认证密钥协商系统。该系统能够基于层次身份基密码体制，具有更高的效率。安全性基于椭圆曲线离散对数困难假设及计算性Diffie-Hellman困难假设，满足密钥协商所需的基本安全需求。

为了实现上述目的，本发明的第一方面的实施例公开了一种基于层次身份基的认证密钥协商方法，包括以下步骤：A：根据输入的安全常数λ，得出阶数为q椭圆曲线循环加法群其生成元为P，选取主私钥msk，计算公钥P_pub，选取安全的哈希函数H₁和哈希函数H₂；B：用户私钥可通过两种算法生成，(1)：根据所述主私钥msk、第一用户身份向量(I₁,I₂,…,I_T)和计算所述第一户用的私钥d和部分公钥g₁P,…,g_tP，所述第一用户验证所述私钥d是否满足验证条件，若所述私钥d满足验证条件，则接受此私钥；(2)：所述第二用户身份(I₁,I₂,…,I_t-1)、第二用户的私钥d′、第二用户的部分公钥g₁P,…,g_t-1P和随机选取的计算所述第一用户的私钥d和部分公钥g₁P,…,g_tP；其中，表示整数集合{1,2,…,q-2,q-1}。

根据本发明一个实施例的基于层次身份基的认证密钥协商方法，基于层次身份基密码体制，适用于大型系统；不含椭圆曲线双线性对运算，具有较高的效率，计算开销与系统层级成线性关系；可以满足密钥协商的安全需求，具有已知会话密钥安全、完美前向安全、PKG前向安全、没有密钥泄露模仿、未知密钥共享、无密钥控制等安全性质。

另外，根据本发明上述实施例的基于层次身份基的认证密钥协商方法，还可以具有如下附加的技术特征：

进一步地，在步骤A中，进一步包括：所述椭圆曲线循环加法群为由所述安全常数λ生成的生成元为P的阶q的椭圆曲线循环加法群；所述公钥P_pub＝sP，其中主私钥msk＝s；所述哈希函数以及所述哈希函数其中为会话密钥空间。

进一步地，在步骤B中，进一步包括：计算r_i＝H₁(I_i||g_iP)，其中1≤i≤t，输出所述第一用户的所述私钥d，所述私钥d的计算公式为：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给所述第一用户(I₁,I₂,…,I_t)，其中g₁P,…,g_tP为所述第一用户的部分公钥，所述第一用户验证下列等式：

若等式不成立，则拒绝所述私钥d。

计算r_t＝H₁(I_t,g_tP)；所述第二用户身份的向量(I₁,…,I_t-1)为所述第一用户身份的向量(I₁,I₂,…,I_t)生成私钥d，第二用户的私钥为d′、第二用户的部分公钥为g₁P,…,g_{t- 1}P，第一用户私钥d的生成公式为：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给所述第一用户(I₁,I₂,…,I_t)，其中g₁P,…,g_tP为所述第一用户的部分公钥；所述第一用户验证下列等式：

若等式不成立，则所述第二用户拒绝私钥d。

进一步地，在步骤B后还存在步骤C，随机选择第三用户A和第四用户B，所述第三用户A的身份向量为所述第四用户B的身份向量为根据所述第三用户A的身份向量私钥为d_A、公钥pk_A和所述第四用户B的身份向量私钥d_B、公钥pk_B，以及随机选取和计算所述第三用户A向所述第四用户B发消息使用的第一会话密钥sk_A和所述第四用户B向所述第三用户A发消息使用的第二会话密钥sk_B，所述第一会话密钥sk_A和所述第二会话密钥sk_B相同，所述第三用户A和所述第四用户B之间可进行安全通信。

进一步地，在步骤C中，进一步包括：所述第三用户A的公钥pk_A为所述第四用户B的公钥pk_B为

计算T_A＝ad_AP，所述第三用户A发送{T_A,pk_A}给所述第四用户B；

计算T_B＝bd_BP，所述第四用户B发送{T_B,pk_B}给所述第三用户A；

所述第三用户A做如下计算：

ad_AT_B＝abd_Ad_BP

所述第一会话密钥sk_A＝H₂(k_AB||abd_Ad_BP)；

所述第四用户B做如下计算：

bd_BT_A＝abd_Ad_BP

所述第二会话密钥sk_B＝H₂(k_BA||abd_Ad_BP)。

为了实现上述目的，本发明的第二方面的实施例公开了一种基于层次身份基的认证密钥协商系统，包括：系统建立模块，用于根据输入的安全常数λ，得出阶数为q椭圆曲线循环加法群其生成元为P，选取主私钥msk，计算公钥P_pub，选取安全的哈希函数H₁和哈希函数H₂；私钥生成模块，用于根据所述主私钥msk、第一用户身份向量(I₁,I₂,…,I_t)和计算所述第一户用的私钥d和部分公钥g₁P,…,g_tP，所述第一用户验证所述私钥d是否满足验证条件；私钥托管模块，用于根据所述第二用户身份(I₁,I₂,…,I_t-1)、第二用户的私钥d′、第二用户的部分公钥g₁P,…,g_t-1P和随机选取的计算所述第一用户的私钥d和部分公钥g₁P,…,g_tP；其中，表示整数集合{1,2,…,q-2,q-1}。

根据本发明一个实施例的基于层次身份基的认证密钥协商系统，该系统基于层次身份基密码体制；不含椭圆曲线双线性对运算，具有较高的效率，计算开销与系统层级成线性关系；可以满足密钥协商的安全需求，具有已知会话密钥安全、完美前向安全、PKG前向安全、无密钥泄露模仿、未知密钥共享、无密钥控制等安全性质。

另外，根据本发明上述实施例的基于层次身份基的认证密钥协商系统，还可以具有如下附加的技术特征：

进一步地，还包括密钥协商模块，用于随机选择第三用户A和第四用户B，所述第三用户A的身份向量为所述第四用户B的身份向量为根据所述第三用户A的身份向量私钥为d_A、公钥pk_A和所述第四用户B的身份向量私钥d_B、公钥pk_B，以及随机选取和计算所述第三用户A向所述第四用户B发消息使用的第一会话密钥sk_A和所述第四用户B向所述第三用户A发消息使用的第二会话密钥sk_B，所述第一会话密钥sk_A和所述第二会话密钥sk_B相同，所述第三用户A和所述第四用户B之间可进行安全通信。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是本发明一个实施例的系统结构图；

图2是本发明一个实施例的密钥协商过程示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。

在本发明的描述中，需要理解的是，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。

参照下面的描述和附图，将清楚本发明的实施例的这些和其他方面。在这些描述和附图中，具体公开了本发明的实施例中的一些特定实施方式，来表示实施本发明的实施例的原理的一些方式，但是应当理解，本发明的实施例的范围不受此限制。相反，本发明的实施例包括落入所附加权利要求书的精神和内涵范围内的所有变化、修改和等同物。

以下结合附图描述本发明实施例。

图1是本发明一个实施例的系统结构图。请参考图1，主要的符号及椭圆曲线选取：

1)p,q：大素数

2)阶数为p的有限域

3)有限域上的椭圆曲线E

4)椭圆曲线E上的点的集合，为q阶的循环加法群

5)P：群G的生成元

6)整数集合{1,2,…,q-2,q-1}

7)PKG：私钥生成中心

8)H₁：安全的哈希函数，

9)H₂：安全的哈希函数，

10)会话密钥空间

椭圆曲线可用等式表示为：

y²≡x³+ax+b mod p，其中且4a³+27b²≠0mod p

群O为无穷远点。

群为循环加法群，群运算为加法运算(点乘运算)，描述如下：

本发明可分为系统建立，私钥生成，私钥托管和密钥协商四个阶段。该协议具体构造如下：

1.(pp,msk)←Setup(λ)：系统建立算法选取满足安全常数λ的阶为q的椭圆曲线循环加法群即|q|＝λ，的生成元为P。选取安全的哈希函数： 选取主私钥msk＝s，计算公钥P_pub＝sP。输出共享的全局性系统参数：

2.(d)←KeyGen(msk,(I₁,I₂,…,I_t))：给定主私钥msk和第一用户身份向量(I₁,I₂,…,I_t)，私钥生成算法随机选取计算r_i＝H₁(I_i||g_iP)，其中1≤i≤t。输出该用户所对应的私钥d：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给第一用户(I₁,I₂,…,I_t)，其中g₁P,…,g_tP为第一用户的部分公钥。用户验证等式：

若等式不成立，则第一用户拒绝私钥d。

3.(d)←Delegate({g₁P,…,g_t-1P,d′},(I₁,I₂,…,I_t))：密钥托管算法随机选取计算r_t＝H₁(I_t||g_tP)。第二用户(I₁,…,I_t-1)私钥为为d′，为第一用户(I₁,I₂,…,I_t)生成私钥d：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给用户(I₁,I₂,…,I_T)，其中g₁P,…,g_tP为第一用户的部分公钥。第一用户验证等式：

若等式不成立，则第二用户拒绝私钥d。

图2是本发明一个实施例的密钥协商过程示意图。请参考图2，并对照图1。

4.(sk)←Agreement(pk₁,d₁,pk₂,d₂)：密钥协商过程如图1所示。以随机选取的第三用户A和第四用户B为例，其中第三用户A所处的层级为l_A，A的私钥为d_A，公钥pk_A为第四用户B所处的层级为l_B，B的私钥为d_B，公钥pk_B为

第三用户随机选取计算T_A＝ad_AP，发送{T_A,pk_A}给第四用户B，第四用户B随机选取计算T_B＝bd_BP，发送{T_B,pk_B}给第三用户A，第三用户A与第四用户B分别计算会话密钥：

第三用户A做如下计算：

ad_AT_B＝abd_Ad_BP

第一会话密钥为：sk_A＝H₂(k_AB||abd_Ad_BP)。

第四用户B做如下计算：

bd_BT_A＝abd_Ad_BP

第二会话密钥为：sk_B＝H₂(k_BA||abd_Ad_BP)

第三用户A与第四用户B得到相同的会话密钥，可进行安全通信。

另外，本发明实施例的基于层次身份基的认证密钥协商方法和系统的其它构成以及作用对于本领域的技术人员而言都是已知的，为了减少冗余，不做赘述。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同限定。

Claims (3)

1.一种基于层次身份基的认证密钥协商方法，其特征在于包括以下步骤：

A：根据输入的安全常数λ，得出阶数为q的椭圆曲线循环加法群其生成元为P，选取主私钥msk，计算公钥P_pub，选取安全的哈希函数H₁和哈希函数H₂；

B：根据用户身份向量，用户私钥可以通过两种算法生成：

(1)根据所述主私钥msk、第一用户身份向量(I₁,I₂,…,I_t)和随机选取的计算所述第一用户的私钥d和部分公钥g₁P,…,g_tP，所述第一用户验证所述私钥d是否满足验证条件，若所述私钥d满足验证条件，则接受此私钥；

(2)根据第二用户的身份(I₁,I₂,…,I_t-1)、所述第二用户的私钥d＇、所述第二用户的部分公钥g₁P,…,g_t-1P和随机选取的计算所述第一用户的私钥d和部分公钥g₁P,…,g_tP；

其中，表示整数集合{1,2,…,q-2,q-1}；

在步骤A中，进一步包括：所述椭圆曲线循环加法群为由所述安全常数λ生成的阶q的椭圆曲线循环加法群；

所述公钥P_pub＝sP，其中主私钥msk＝s；

所述哈希函数以及

所述哈希函数其中为会话密钥空间；

在步骤B中，进一步包括：计算r_i＝H₁(I_i||g_iP)，其中1≤i≤t，输出所述第一用户的所述私钥d，所述私钥d的计算公式为：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给所述第一用户(I₁,I₂,…,I_t)，其中g₁P,…,g_tP为所述第一用户的部分公钥，所述第一用户验证下列等式：

若等式不成立，则拒绝所述私钥d；

计算r_t＝H₁(I_t||g_tP)；所述第二用户身份的向量(I₁,…,I_t-1)为所述第一用户身份的向量(I₁,I₂,…,I_t)生成私钥d，第二用户的私钥为d′、第二用户的部分公钥为g₁P,…,g_t-1P，第一用户私钥d的生成公式为：

若d＝0，则需要重新选取若d≠0，则通过安全信道将{g₁P,…,g_tP,d}发送给所述第一用户(I₁,I₂,…,I_t)，其中g₁P,…,g_tP为所述第一用户的部分公钥；所述第一用户验证下列等式：

若等式不成立，则所述第一用户拒绝私钥d。

2.根据权利要求1所述的基于层次身份基的认证密钥协商方法，其特征在于，在步骤B后还存在步骤C，随机选择第三用户A和第四用户B，所述第三用户A的身份向量为所述第四用户B的身份向量为根据所述第三用户A的身份向量私钥为d_A、公钥pk_A和所述第四用户B的身份向量私钥d_B、公钥pk_B，以及随机选取和计算所述第三用户A向所述第四用户B发消息使用的第一会话密钥sk_A和所述第四用户B向所述第三用户A发消息使用的第二会话密钥sk_B，所述第一会话密钥sk_A和所述第二会话密钥sk_B相同，所述第三用户A和所述第四用户B之间可进行安全通信。

3.根据权利要求2所述的基于层次身份基的认证密钥协商方法，其特征在于，在步骤C中，进一步包括：所述第三用户A的公钥pk_A为所述第四用户B的公钥pk_B为

计算T_A＝ad_AP，所述第三用户A发送{T_A,pk_A}给所述第四用户B；

计算T_B＝bd_BP，所述第四用户B发送{T_B,pk_B}给所述第三用户A；

所述第三用户A做如下计算：

ad_AT_B＝abd_Ad_BP

所述第一会话密钥sk_A＝H₂(_AB||abd_Ad_BP)；

所述第四用户B做如下计算：

bd_BT_A＝abd_Ad_BP

所述第二会话密钥sk_B＝H₂(k_BA||abd_Ad_BP)。